Η Apple αθόρυβα κυκλοφορεί άλλη μια ενημέρωση κώδικα για το σφάλμα Zero-Day RCE

Η Apple κυκλοφόρησε αθόρυβα περισσότερες ενημερώσεις στο iOS για να διορθώσει μια ευπάθεια ασφαλείας zero-day που είχε εκμεταλλευτεί ενεργά, την οποία επιδιορθώθηκε νωρίτερα αυτό το μήνα σε νεότερες συσκευές. Η ευπάθεια, που βρίσκεται στο WebKit, μπορεί να επιτρέψει στους εισβολείς να δημιουργήσουν κακόβουλο περιεχόμενο Ιστού που επιτρέπει την απομακρυσμένη εκτέλεση κώδικα (RCE) στη συσκευή ενός χρήστη.

Μια ενημέρωση Το iOS 12.5.6 που κυκλοφόρησε την Τετάρτη, ισχύει για τα ακόλουθα μοντέλα: iPhone 5S, iPhone 6, iPhone 6 Plus, iPad Air, iPad mini 2, iPad mini 3 και iPod touch 6ης γενιάς.

Το εν λόγω ελάττωμα (CVE-2022-32893) περιγράφεται από την Apple ως πρόβλημα εγγραφής εκτός ορίων στο WebKit. Αντιμετωπίστηκε στην ενημέρωση κώδικα με βελτιωμένο έλεγχο ορίων. Η Apple αναγνώρισε ότι το σφάλμα είναι υπό ενεργή εκμετάλλευση και προτρέπει τους χρήστες των επηρεαζόμενων συσκευών να ενημερώσουν αμέσως.

Η Apple είχε ήδη διορθώσει την ευπάθεια για ορισμένες συσκευές — μαζί με ένα ελάττωμα του πυρήνα που εντοπίστηκε ως CVE-2022-32894 — νωρίτερα τον Αύγουστο στο iOS 15.6.1. Αυτό είναι μια ενημέρωση που κάλυπτε το iPhone 6S και μεταγενέστερα, το iPad Pro (όλα τα μοντέλα), το iPad Air 2 και μεταγενέστερα, το iPad 5ης γενιάς και μεταγενέστερα, το iPad mini 4 και μεταγενέστερα, και το iPod touch (7η γενιά).

Ο τελευταίος γύρος ενημερώσεων κώδικα φαίνεται να είναι ότι η Apple καλύπτει όλες τις βάσεις της προσθέτοντας προστασία για iPhone που διαθέτουν παλαιότερες εκδόσεις iOS, σημείωσε ο ευαγγελιστής ασφαλείας Paul Ducklin.

«Υποθέτουμε ότι η Apple πρέπει να έχει συναντήσει τουλάχιστον ορισμένους υψηλού προφίλ (ή υψηλού κινδύνου, ή και τα δύο) χρήστες παλαιότερων τηλεφώνων που παραβιάστηκαν με αυτόν τον τρόπο και αποφάσισε να εξαλείψει την προστασία για όλους ως ειδική προφύλαξη. " έγραψε σε μια θέση στο ιστολόγιο Sophos Naked Security.

Η διπλή κάλυψη από την Apple για τη διόρθωση του σφάλματος και στις δύο εκδόσεις του iOS οφείλεται στην αλλαγή στις εκδόσεις της πλατφόρμας που τρέχουν σε ποια iPhone, εξήγησε ο Ducklin.

Προτού η Apple κυκλοφορήσει το iOS 13.1 και το iPadOS 13.1, τα iPhone και τα iPad χρησιμοποιούσαν το ίδιο λειτουργικό σύστημα, που αναφέρεται ως iOS και για τις δύο συσκευές, είπε. Τώρα, το iOS 12.x καλύπτει το iPhone 6 και παλαιότερες συσκευές, ενώ το iOS 13.1 και οι νεότερες εκδόσεις τρέχουν σε iPhone 6s και συσκευές που κυκλοφόρησαν μετά.

Το άλλο ελάττωμα zero-day που επιδιορθώθηκε η Apple νωρίτερα αυτό το μήνα, το CVE-2022-32894, ήταν μια ευπάθεια του πυρήνα που μπορεί να επιτρέψει την ανάληψη ολόκληρης της συσκευής. Αλλά ενώ το iOS 13 επηρεάστηκε από αυτό το ελάττωμα - και έτσι έλαβε μια ενημερωμένη έκδοση κώδικα για αυτό στην προηγούμενη ενημέρωση - δεν επηρεάζει το iOS 12, παρατήρησε ο Ducklin, "το οποίο σχεδόν σίγουρα αποφεύγει τον κίνδυνο πλήρους συμβιβασμού του ίδιου του λειτουργικού συστήματος" σε παλαιότερα συσκευές.

WebKit: Μια ευρεία επιφάνεια Cyberattack

Το WebKit είναι η μηχανή προγράμματος περιήγησης που τροφοδοτεί το Safari και όλα τα άλλα προγράμματα περιήγησης τρίτων που λειτουργούν σε iOS. Με την εκμετάλλευση του CVE-2022-32893, ένας παράγοντας απειλών μπορεί να δημιουργήσει κακόβουλο περιεχόμενο σε έναν ιστότοπο. Στη συνέχεια, εάν κάποιος επισκεφτεί τον ιστότοπο από ένα επηρεασμένο iPhone, ο ηθοποιός μπορεί να εκτελέσει εξ αποστάσεως κακόβουλο λογισμικό στη συσκευή του.

Το WebKit γενικά είναι ένα επίμονο αγκάθι στην Apple όσον αφορά την έκθεση των χρηστών σε ευπάθειες, επειδή εξαπλώνεται πέρα ​​από τα iPhone και άλλες συσκευές Apple σε άλλα προγράμματα περιήγησης που το χρησιμοποιούν - συμπεριλαμβανομένων των Firefox, Edge και Chrome - θέτοντας δυνητικά εκατομμύρια χρήστες σε κίνδυνο από ένα δεδομένο σφάλμα.

«Θυμηθείτε ότι υπάρχουν σφάλματα WebKit, χαλαρά μιλώντας, στο επίπεδο λογισμικού κάτω από το Safari, έτσι ώστε το πρόγραμμα περιήγησης Safari της Apple να μην είναι η μόνη εφαρμογή που κινδυνεύει από αυτήν την ευπάθεια», παρατήρησε ο Ducklin.

Επιπλέον, κάθε εφαρμογή που εμφανίζει περιεχόμενο ιστού στο iOS για σκοπούς άλλους από τη γενική περιήγηση — όπως στις σελίδες βοήθειας, "Σχετικά με" οθόνη, ή ακόμα και σε ένα ενσωματωμένο "minibrowser" — χρησιμοποιεί το WebKit κάτω από την κουκούλα, πρόσθεσε.

«Με άλλα λόγια, απλώς η «αποφυγή του Safari» και η προσκόλληση σε πρόγραμμα περιήγησης τρίτου μέρους δεν είναι κατάλληλη λύση [για σφάλματα WebKit]», έγραψε ο Ντάκλιν.

Η Apple υπό επίθεση

Ενώ οι χρήστες και οι επαγγελματίες θεωρούν παραδοσιακά τις πλατφόρμες Mac και iOS της Apple πιο ασφαλείς από τα Microsoft Windows - και αυτό ισχύει γενικά για διάφορους λόγους - η παλίρροια αρχίζει να αλλάζει, λένε οι ειδικοί.

Πράγματι, ένα αναδυόμενο τοπίο απειλών που δείχνει μεγαλύτερο ενδιαφέρον για τη στόχευση πιο πανταχού παρών τεχνολογιών Ιστού και όχι το ίδιο το λειτουργικό σύστημα διεύρυνε τον στόχο στην πλάτη της Apple, σύμφωνα με μια αναφορά απειλής κυκλοφόρησε τον Ιανουάριο και η αμυντική στρατηγική επιδιόρθωσης της εταιρείας αντικατοπτρίζει αυτό.

Η Apple έχει διορθώσει τουλάχιστον τέσσερις αδυναμίες zero-day φέτος, με δύο ενημερώσεις κώδικα για προηγούμενες ευπάθειες iOS και macOS Ιανουάριος και ένα στην Φεβρουάριος — το τελευταίο από τα οποία διόρθωσε ένα άλλο ζήτημα που χρησιμοποιήθηκε ενεργά στο WebKit.

Επιπλέον, πέρυσι 12 από τις 57 απειλές μηδενικής ημέρας που ερευνητές από το Project Zero της Google παρακολουθούνται σχετίζονταν με την Apple (δηλαδή, περισσότερο από 20%), με προβλήματα που επηρέαζαν το macOS, το iOS, το iPadOS και το WebKit.